Política de privacidad

1. Responsable del tratamiento

NIS2Certify ("nosotros", "nos", "nuestro") es responsable del tratamiento de los datos personales tal como se describe en esta política de privacidad, de conformidad con el Reglamento General de Protección de Datos (RGPD / Reglamento UE 2016/679, también conocido como GDPR). Puede contactarnos a través de privacy@nis2certify.org.

NIS2Certify
Doddegras 7, 3994NL Houten
KVK: 76172872

2. Qué datos tratamos

Tratamos las siguientes categorías de datos personales:

• Datos de la cuenta: nombre, dirección de correo electrónico, contraseña (cifrada), nombre de la organización
• Datos de la organización: nombre de la empresa, número de KVK, número de IVA, dirección, sector, número de empleados
• Datos del assessment: respuestas a las preguntas de cumplimiento NIS2, puntuaciones, niveles de cumplimiento
• Datos de pago: dirección de facturación, tipo de suscripción (los datos de pago son tratados por Stripe)
• Datos de uso: dirección IP, tipo de navegador, páginas visitadas, hora de acceso
• Preguntas al asistente NIS2: las preguntas que hace a nuestro asistente NIS2 son procesadas por OpenAI (a través de su API; no se utilizan para entrenar modelos) para generar la respuesta, y se conservan hasta 90 días junto con una dirección IP con hash para mejorar la calidad de las respuestas. No introduzca datos personales en sus preguntas
• Grabaciones de sesión: en nuestras páginas públicas de marketing (incluidos el Quick Scan gratuito y el asistente NIS2) registramos los clics, el desplazamiento y los movimientos del ratón, junto con la estructura de la página, en forma de reproducciones de sesión y mapas de calor. Todo el texto de la página y todo lo que usted escribe se enmascara (nivel "strict" de Umami), de modo que no es visible en las grabaciones. Nunca grabamos en el panel al que se accede tras iniciar sesión ni en el entorno de assessment. La grabación solo comienza después de que usted dé su consentimiento a través del banner de cookies

3. Finalidades del tratamiento

• La creación y gestión de su cuenta
• La realización de assessments de cumplimiento NIS2 y la generación de informes
• El procesamiento de pagos y la gestión de suscripciones
• El envío de correos electrónicos relacionados con el servicio (invitaciones, informes, restablecimientos de contraseña)
• La mejora de nuestros servicios y la resolución de problemas técnicos
• El cumplimiento de obligaciones legales

4. Base jurídica

Tratamos sus datos sobre la base de:

• Ejecución del contrato: para la prestación de nuestros servicios
• Interés legítimo: para la mejora de nuestros servicios y de la seguridad
• Obligación legal: para obligaciones fiscales y administrativas
• Consentimiento: para comunicaciones de marketing (cuando corresponda) y para las grabaciones de sesión en nuestras páginas públicas de marketing

5. Encargados del tratamiento y terceros

Utilizamos los siguientes encargados del tratamiento:

• Supabase (EE. UU./UE): alojamiento de la base de datos y autenticación
• Stripe (EE. UU./UE): procesamiento de pagos y gestión de suscripciones
• Resend (EE. UU.): envío de correos electrónicos transaccionales
• Vercel/Proveedor de alojamiento: alojamiento de la aplicación web
• Google Analytics (EE. UU./UE): estadísticas del sitio web y análisis de uso (únicamente tras su consentimiento)
• OpenAI Ireland Limited (Irlanda): generación de respuestas para el asistente NIS2; los datos pueden tratarse en Estados Unidos sobre la base de cláusulas contractuales tipo o de una decisión de adecuación, conforme al acuerdo de encargo de tratamiento de OpenAI
• Umami (autoalojado, UE): grabaciones de sesión (reproducciones y mapas de calor) en nuestras páginas públicas de marketing, alojado por la propia NIS2Certify en un servidor en la UE en analytics.nis2certify.org (únicamente tras su consentimiento)

Con todos nuestros encargados del tratamiento hemos suscrito contratos de encargo del tratamiento conforme al RGPD.

6. Plazos de conservación

• Datos de la cuenta: hasta que se elimine la cuenta
• Datos del assessment e informes: hasta que se elimine la cuenta o hasta 2 años después del último uso
• Datos de pago: 7 años a partir de la fecha de la factura (obligación legal de conservación)
• Archivos de registro: un máximo de 90 días
• Grabaciones de sesión (Umami): un máximo de 30 días

7. Sus derechos

En virtud del RGPD, usted dispone de los siguientes derechos:

• Derecho de acceso: puede solicitar qué datos suyos tratamos
• Derecho de rectificación: puede solicitar que se corrijan datos inexactos
• Derecho de supresión: puede solicitar que se eliminen sus datos
• Derecho de limitación: puede solicitar que se limite el tratamiento
• Derecho a la portabilidad: puede recibir sus datos en un formato de uso común
• Derecho de oposición: puede oponerse a determinados tratamientos

Puede ejercer sus derechos poniéndose en contacto con nosotros a través de privacy@nis2certify.org. Responderemos a su solicitud en un plazo de 30 días.

8. Seguridad

Adoptamos medidas técnicas y organizativas adecuadas para proteger sus datos personales frente al acceso no autorizado, la pérdida o el uso indebido. Esto incluye, entre otras cosas, el cifrado de los datos en tránsito y en reposo, el control de acceso basado en roles y auditorías de seguridad periódicas.

9. Cookies

Utilizamos cookies estrictamente necesarias para el funcionamiento de la aplicación, así como cookies analíticas (Google Analytics) que solo se instalan tras su consentimiento expreso a través del banner de cookies. Con ese mismo consentimiento grabamos las sesiones en nuestras páginas públicas de marketing mediante Umami (véase la sección 2); para ello no se instala ninguna cookie.

Lea nuestra política de cookies completa para obtener más información sobre cómo utilizamos las cookies y cómo puede gestionarlas.

10. Reclamaciones

Si tiene una reclamación sobre el tratamiento de sus datos personales, puede ponerse en contacto con nosotros a través de privacy@nis2certify.org. También tiene derecho a presentar una reclamación ante una autoridad de control. En el caso de los Países Bajos, esta es la Autoridad de Protección de Datos (autoriteitpersoonsgegevens.nl). Si está establecido en otro Estado miembro de la UE, también puede presentar una reclamación ante la autoridad de control de su propio país.